Seguridad de Contenedores

Qué incluye este pack

Este pack reúne las seis herramientas open-source a las que la mayoría de equipos llegan tras abandonar plataformas comerciales de seguridad de contenedores. Juntas cubren registro de imágenes, escaneo, linting de infraestructura como código y defensa en runtime — las cuatro capas que aparecen en toda postmortem de cadena de suministro.

La separación importa: registro sin scan es teatro; scan sin SBOM da números CVE pero ninguna superficie de remediación; runtime sin política de red detecta intrusión pero no contiene el radio de explosión.

Por qué la seguridad de contenedores importa ahora

La ola de incidentes de cadena 2024-2025 (xz-utils, polyfill.io, gusanos npm) dejó algo concreto: el binario que despliegas es la suma de cada dependencia que no auditaste. Una imagen moderna combina SO base, runtime de lenguaje, capa de aplicación y herramientas de build — cuatro cadenas apiladas. El coste de una transitiva comprometida es el mismo si tienes 5 personas o 5000.

Los escáneres comerciales (Snyk, Wiz, Aqua) funcionan, pero piden $30-100 por nodo al mes y envían telemetría a su nube. El pack open-source aquí entrega:

• Scan IaC pre-merge (Checkov en CI atrapa buckets S3 mal configurados, securityContext faltante, secretos expuestos antes del review)
• Scan de imagen post-build (Grype + Syft en cada push a Harbor — falla el build si CVSS ≥ 7)
• Defensa runtime (CrowdSec ingiere logs nginx/Traefik y comparte IPs atacantes con 100k+ peers)
• Contención de red (Cilium NetworkPolicy significa que un pod comprometido no pivota a tu DB)

Instala en un comando

# Instala el pack completo en el proyecto actual
tokrepo install pack/container-security

# O elige recursos individuales
tokrepo install grype
tokrepo install checkov

El TokRepo CLI escribe configs de escáner, plantillas de CI y snippets de Helm values en tu repo. Cada página de recurso documenta los flags que Anchore, Bridgecrew, Isovalent y el equipo Harbor recomiendan para producción.

Errores comunes

• Escanear solo tags latest. Pin a digests en manifiestos de producción; latest deriva y tu historial de scans pierde sentido.
• Tratar CVSS como prioridad. Un CVSS 9.8 en una imagen base solo de dev que nunca expones es menos prioritario que un CVSS 6.5 en tu proxy edge. Combina output de Grype con análisis de alcanzabilidad runtime.
• Saltar generación de SBOM. Cuando aterrice el próximo backdoor estilo xz, los equipos con SBOMs Syft en almacén responden "¿estamos expuestos?" en minutos. Sin SBOM, una semana.
• Checkov como única gate IaC. Checkov detecta patrones malos conocidos pero no atrapa lógica de negocio (e.g. rol IAM válido técnicamente pero con demasiados permisos). Empareja con tfsec u OPA para segunda pasada.
• CrowdSec sin revisar scenarios. Los scenarios por defecto bloquean atacantes obvios pero pueden falsear con crawlers agresivos. Afina parsers/scenarios o bloquearás tu propio monitoreo.

Cuándo este pack solo no basta

Si corres Kubernetes a escala, añade Falco para detección runtime nivel syscall (es la herramienta runtime original — Tetragon de Cilium ahora se solapa pero el corpus de reglas Falco es mayor). Para secretos específicamente, añade Vault o Infisical — ninguno está en el pack porque la gestión de secretos es otro problema. Para procedencia de cadena (quién construyó esta imagen, en qué runner), mira Sigstore + atestaciones in-toto; Harbor soporta cosign signing nativamente, así que el camino es corto.